← Retour à l'index ATT&CK
T1055.003sub-technique
Thread Execution Hijacking
Voir sur attack.mitre.org →6 syscalls implémentent cette technique
- NtOpenThread
Ouvre un handle vers un thread existant identifié par CLIENT_ID avec les droits d'accès demandés.
- NtSuspendThread
Incrémente le compteur de suspension d'un thread cible, arrêtant son exécution.
- NtTerminateThread
Termine le thread spécifié avec le code de sortie fourni. Un handle NULL termine le thread courant.
- NtGetContextThread
Récupère le contexte des registres CPU (structure CONTEXT) d'un thread suspendu.
- NtSetContextThread
Définit le contexte des registres CPU d'un thread — primitive noyau derrière le détournement de thread et la redirection de shellcode.
- NtGetNextThread
Retourne un handle vers le thread suivant d'un processus cible en parcourant la liste de threads du noyau.